Plugin eliminado del directorio de plugins de WordPress.org: ¿qué significa?

Quieres instalar un plugin de toda la vida en un sitio web nuevo, pero al buscarlo en el panel de WordPress ya no aparece. En WordPress.org, en lugar del botón de descarga, solo hay un aviso escueto: «This plugin has been closed». Mientras tanto, en tus otros sitios web ese mismo plugin funciona con total normalidad. ¿Qué ha pasado? El plugin se ha eliminado del directorio oficial de plugins. Puede que no tenga mayor importancia. Pero también puede significar que tu sitio web tiene ahora mismo un agujero de seguridad abierto que ya nadie va a cerrar. Aquí descubrirás qué hay detrás de un cierre así, cómo valorar el riesgo y qué pasos conviene dar ahora.

¿Qué significa que un plugin haya sido eliminado de WordPress.org?

En realidad, WordPress.org no borra el plugin, sino que lo cierra. En la página del plugin aparece entonces una frase como «This plugin has been closed as of June 24, 2024 and is not available for download.» Para ti, como responsable del sitio web, esto tiene consecuencias muy concretas:

• El plugin ya no se puede descargar desde WordPress.org ni instalar desde el panel de WordPress.
• Mientras siga cerrado, WordPress.org no distribuye versiones nuevas. Es decir, no llegan más actualizaciones, y eso incluye las de seguridad.
• Las copias ya instaladas quedan intactas. WordPress no desactiva ni borra nada, el plugin simplemente sigue funcionando.
• El código fuente sigue siendo público en el SVN Repository de WordPress.org.

Lo traicionero es sobre todo el tercer punto. Como en tu sitio web todo parece normal, lo más habitual es que ni te enteres del cierre. WordPress no muestra ningún aviso al respecto en el panel. Desde 2014 hay un ticket en el WordPress Trac que pretende cambiar precisamente eso. Por el camino llegó a rechazarse, y en 2023 se volvió a abrir. Y es que no es nada fácil decidir cómo avisar a los usuarios sin sembrar un pánico innecesario.

Tampoco confundas un plugin eliminado con uno desactualizado. Un plugin que lleva años sin recibir actualizaciones suele seguir apareciendo con normalidad en el directorio. En ese caso, WordPress.org solo advierte de que no se ha probado con las tres últimas versiones principales de WordPress. Un plugin cerrado, en cambio, se ha retirado de la circulación por completo.

¿Por qué se eliminan plugins de WordPress.org? Los cinco motivos oficiales

Del directorio de plugins se encarga el Plugins Team de WordPress.org. El equipo no cierra plugins por capricho, sino por uno de los cinco motivos que recoge la documentación oficial para desarrolladores. Son justo los motivos que después aparecen también en la página del plugin:

• Security Issue (problema de seguridad): El plugin contiene una vulnerabilidad confirmada. Salvo contadas excepciones, el equipo lo cierra entonces de inmediato. Según el manual del equipo, no existe un plazo del tipo «Arréglalo en siete días o te quedas fuera».
• Guideline Violation (infracción de las directrices): El plugin no cumple las normas del directorio. Casos típicos son el rastreo de usuarios sin su consentimiento, el código que se ha hecho ilegible a propósito o los enlaces al desarrollador que aparecen en tu sitio web sin que nadie los haya pedido.
• Licensing/Trademark Violation (licencia o derecho de marcas): El plugin contiene código que no es compatible con la GPL, o su nombre se aprovecha de una marca ajena.
• Author Request (petición del autor): El propio desarrollador ha cerrado el plugin. A veces simplemente le falta tiempo, y otras el plugin ya solo existe como versión de pago en su propia web.
• Merged Into Core (incorporado a WordPress): La función ya viene integrada directamente en WordPress. Esto afecta casi exclusivamente a los llamados Feature Plugins, que sirven para probar funciones nuevas antes de que lleguen a WordPress.

Por cierto, muchos de los problemas de seguridad no los descubre el propio Plugins Team. A menudo son investigadores de seguridad quienes le comunican una vulnerabilidad, por ejemplo cuando el desarrollador no responde a sus avisos.

¿Por qué el motivo del cierre no aparece hasta pasados 60 días?

Justo después del cierre, en la página del plugin solo ves la fecha. WordPress.org no añade el motivo hasta 60 días más tarde, y aun entonces solo como una categoría genérica de la lista anterior. Qué ocurrió exactamente solo lo saben los desarrolladores con permisos de escritura sobre el plugin y el equipo de seguridad. Los detalles se hacen públicos únicamente en casos excepcionales.

A primera vista parece poco transparente, pero tiene su lógica. Si el mismo día del cierre ya pusiera «Security Issue» en la página, los atacantes sabrían al instante dónde buscar, mientras miles de sitios web siguen usando el plugin sin protección. El plazo le da al desarrollador la oportunidad de corregir la vulnerabilidad antes de que corra la voz.

Fíjate también en la frase que hay debajo del aviso. «This closure is temporary, pending a full review» significa que el cierre es provisional y que el plugin se está revisando más a fondo. «This closure is permanent» indica que el cierre pretende ser definitivo. En la página de KingComposer, un page builder muy extendido en su día, figura por ejemplo desde febrero de 2022 «Reason: Security Issue».

¿Es peligroso un plugin eliminado de WordPress.org?

La respuesta sincera: depende. Un cierre, por sí solo, no demuestra que exista una vulnerabilidad. Si el desarrollador simplemente ha abandonado su plugin, quizá siga funcionando sin problemas durante años.

Aun así, deberías tomarte en serio cualquier plugin eliminado como señal de alarma:

• Al principio no conoces el motivo. Durante los primeros 60 días, detrás del cierre puede haber una vulnerabilidad crítica o un simple error de forma sin importancia. Desde fuera no se nota la diferencia.
• Las actualizaciones de seguridad no llegan. Si se descubre una vulnerabilidad, se queda abierta. Precisamente por eso los plugins cerrados resultan interesantes para los atacantes: saben que muchos sitios web los seguirán usando durante mucho tiempo.
• La compatibilidad se resiente. Con cada nueva versión de WordPress y de PHP aumenta el riesgo de que el plugin provoque errores o, en el peor de los casos, tumbe tu sitio web.

Lo rápido que un cierre puede convertirse en un problema real quedó claro en junio de 2024. Unos atacantes habían entrado en cuentas de desarrolladores de WordPress.org con contraseñas procedentes de antiguas filtraciones de datos y habían colado una puerta trasera en varios plugins, según informó Wordfence en su momento. Entre los afectados estaban Social Warfare y Blaze Widget. Social Warfare recibió enseguida una versión limpia. Blaze Widget, en cambio, está cerrado de forma permanente desde el 24 de junio de 2024, motivo: Security Issue. Quien tenía instalada la versión manipulada no vio ninguna señal de ello en su panel de WordPress.

Plugin eliminado de WordPress.org: ¿qué deberías hacer ahora?

No hace falta entrar en pánico. Pero tampoco conviene dejarlo para más adelante. Lo mejor es seguir estos pasos:

1. Lee el aviso de la página del plugin. La encontrarás en wordpress.org/plugins/ seguido del slug del plugin. El slug es el nombre de su carpeta en wp-content/plugins. Fíjate en la fecha, en si pone temporary o permanent y, cuando hayan pasado los 60 días, en el motivo.
2. Comprueba si hay alguna vulnerabilidad conocida. Busca el plugin en una de las grandes bases de datos de vulnerabilidades, como Wordfence Intelligence, Patchstack o WPScan. Si allí figura una vulnerabilidad para la versión que tienes instalada, no hay nada que pensar: desactiva el plugin de inmediato. Si tu sitio web depende de él, necesitarás cuanto antes una solución provisional (enseguida te contamos más).
3. Averigua si el desarrollador sigue adelante. Algunos plugins solo cambian de sitio, por ejemplo a GitHub o a una tienda propia del desarrollador, o ya solo se ofrecen de pago. Un vistazo a su web suele aclararlo enseguida. Eso sí, las actualizaciones ya no llegarán automáticamente a través de WordPress.org, sino por la vía que marque el desarrollador.
4. Pregúntate con sinceridad si todavía necesitas el plugin. Sobre todo en sitios web con unos años encima suele haber plugins que alguien instaló en su día para un único fin y que luego cayeron en el olvido. Si ya no sabes para qué está ahí, desactívalo en un entorno de pruebas y comprueba si falta algo.
5. Busca una alternativa bien mantenida. Lo que cuenta es la fecha de la última actualización, el número de instalaciones activas, la última versión de WordPress con la que se ha probado y si alguien responde siquiera en el foro de soporte. Un plugin con una gran base de usuarios y un equipo activo suele ser una apuesta más segura que una solución de nicho en la que trabaja una sola persona en su tiempo libre.
6. Sustituye el plugin como es debido. Antes de nada, haz una copia de seguridad, prueba el cambio en un entorno de pruebas y traslada los ajustes y el contenido. Ten en cuenta también los shortcodes, que de lo contrario quedarán como texto suelto en tus páginas cuando borres el plugin. Por último, borra por completo el plugin antiguo. Con desactivarlo no es suficiente: en algunas vulnerabilidades, a los atacantes les basta con que los archivos sigan en el servidor y se puedan llamar directamente.

¿Y si no puedes sustituir el plugin de inmediato? Entonces, al menos, protégelo. Un Web Application Firewall, por ejemplo de Wordfence, de Patchstack o de tu proveedor de hosting, puede frenar los ataques conocidos contra el plugin hasta que hayas hecho el cambio. Las agencias con desarrolladores propios tienen además otra opción: los plugins de WordPress.org se publican bajo la GPL o una licencia compatible. Así que puedes hacerte cargo del código y seguir manteniéndolo por tu cuenta. Eso sí, en ese caso las actualizaciones de seguridad pasan a ser responsabilidad tuya por completo.

Si quieres saber más sobre el mantenimiento continuo de tus plugins, échale un vistazo a nuestra guía Cómo mantener los plugins de WordPress actualizados y seguros.

¿Cómo saber si un plugin instalado ha sido cerrado en WordPress.org?

Hacerlo a mano es un fastidio. Tendrías que abrir en WordPress.org la página correspondiente de cada plugin. Con cinco plugins todavía es viable, pero con 30 plugins repartidos entre varios sitios web de clientes, no tanto.

Es más rápido a través de la Plugin API de WordPress.org. Para un plugin cerrado, en lugar de los datos habituales devuelve un mensaje de error con el valor closed:

curl -sg "https://api.wordpress.org/plugins/info/1.2/?action=plugin_information&request[slug]=SLUG"

Sustituye SLUG por el nombre de la carpeta del plugin. Si en la respuesta aparece "closed":true, el plugin está cerrado. Ahí encontrarás también la fecha del cierre y, en cuanto se haya publicado, el motivo. La opción -g hace que curl no confunda los corchetes de la dirección con marcadores de posición.

Si usas Wordfence: su escaneo también compara tus plugins con WordPress.org y avisa de los plugins eliminados como problema crítico. No se borra nada, la decisión sigue siendo tuya.

Para que no te lleves un susto innecesario: no todo plugin que no encuentres en WordPress.org ha sido eliminado. Los plugins premium como WP Rocket o Gravity Forms nunca han estado allí. Reciben sus actualizaciones directamente del fabricante.

Cómo detecta InspectWP los plugins eliminados en tu sitio web

InspectWP se encarga de esta comprobación por ti. El informe detecta los plugins de tu sitio web por el rastro que dejan en el código fuente y compara cada uno de ellos con WordPress.org. Si un plugin está cerrado, se indica directamente en su tarjeta, y la comprobación de plugins eliminados se marca en rojo. Si WordPress.org vuelve a publicar el plugin más adelante, la marca desaparece con el siguiente informe. Aparte de eso, el informe marca como desactualizados los plugins que llevan más de un año sin actualizarse. Los plugins premium que nunca estuvieron en el directorio no cuentan como eliminados.

En los planes Premium y Agency ves además las versiones instaladas y las vulnerabilidades conocidas de tus plugins. Con el InspectWP WordPress Connector, InspectWP detecta también todos los plugins instalados, incluso los que no dejan ningún rastro en el frontend. En el PDF de auditoría para tus clientes, un plugin eliminado aparece como punto urgente con una recomendación clara. Como un plugin que hoy sigue recibiendo mantenimiento puede estar cerrado el mes que viene, merece la pena usar los informes automáticos: InspectWP revisa entonces tus proyectos con regularidad y, si quieres, te avisa. Un informe gratuito te muestra en poco tiempo si en tu sitio web hay ahora mismo un plugin eliminado funcionando.